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(57) Die Erfindung bezieht sich auf ein Veiiahren 
und eine Einrichtung, mit der Daten in ein Fahrzeugbau- 
teil einprbgrammiert werden kfinnen. 

Es wird vorgeschlagen. die Daten bei einer Zen- 
trale (20) verfugbar zu haften, welche sie auf Anforde- 
rung mit einem fahrzeugbautellspezrfischen Code 
codiert und an die anfordernde Stelle absendet. und die 
Decodierung erst im Fahrzeugbautell (33) selbst vorzu- 
nehmen. Damit wird ein hoher Schutz wahrend der 
Ubertragung der in das Bauteil einzuprogrammlerenden 
Daten vor unberechtigten Versuchen, in Kenntnls dieser 
Daten zu gelangen, gewahrleistet Zur Verfahrens- 



durchfuhrung geelgnete Einrichtungen beinhalten eine 
direkte Anschlu8m6glichkeit des jeweiiigen Fahrzeug- 
bauteils an ein Programmiergerat (3) bei der anfordern- 
den Stelle zwecks direkter Progrannmlerung Oder 
alternativ die Zwischenschaltung eines Zwischenspei- 
cherbauteils (35). Damit ist z.B. eine mobilitatsbegren- 
zende SchlQsselprogrammierung hoch manipulations- 
geschutzt reallsierbar. 

Verwendung bei Fahrzeugen mit einem Diebstahl- 
schutzsystem und fOr Fahrzeugvermietsysteme. 
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Beschreibung 

Die Erfindung bezieht sich aui ein Verfahren und 
eine Einrichtung zur Einprogrammierung von Daten in 
Fahrzeugbauteiie. wobei diese Daten von dem jeweili- 
gen Fahrzeugbauteil benOtigt werden. wenn dieses In 
dem betreffenden Fahrzeug in einer gewunschten, ord- 
nungsgemdBen Weise in Betrieb gehen soil. Das Ver- 
fahren und die Einrichtung elgnen sich insbesondere 
dazu. Fahrzeugersatzteile zu dem Zeitpunkt mit den 
erforderlichen fahrzeugbezogenen Daten zu versorgen, 
zu dem ihr Einsalz In einem bestimmten Fahrzeug 
beabsichtigt ist. Von besonderem Interesse sind voriie- 
gend geheime Daten, die Teil eines Fahrzeugdiebstahl- 
schutzsystems sind. Der Begriff Fahrzeugbauteil Ist 
vortiegend In einem weiten Sinn dahingeherxl zu ver- 
stehen. daB davon neben fest im Fahrzeug eingebauten 
Bauteilen auch anderefahrzeugbezogene Bauteile, ins- 
besondere Fahrzeugschlussel, umfaBt sind. 

Um einen komfortablen. mOglichst weltweiten Ser- 
vice fur Kraftfahrzeuge zur Verfugung zu stellen, ist die 
schnelle. mOglichst weltweite Versorgung mit Fahrzeug- 
bauteilen, insbesondere Ersatzteilen, eine wichtige Aul- 
gabe. Neben der Versorgung entsprechender 
Servicestellen mit der erforderlichen Fahrzeugbauteil- 
Hardware ergibt sich eine weitere AufgEibe im Zusam- 
menhang mit Bauteilen, bei den en es sich um elektroni- 
sche Fahrzeugkomponenten handelt. die fOr einen 
ordnungsgenrtdBen Betrieb fahrzeugspezifische Daten 
enthalten mQssen, Um eine schnelle Lieferfahigkeit zu 
gewdhrleisten, bietet sich die Einprogrammierung der 
erforderlichen Daten in solche Fahrzeugbauteiie vor Ort 
an. Dabei werden die fahrzeugbezogenen Daten von 
einer jeweiligen Servicestelle bei einer Zentrale ange- 
fordert und von letzterer uber eine DatenQbertra- 
gungstrecke, z.B, ein Telefonverbindungsnetz, ein 
allgemelnes oder individuelles Datennetz. oder einen 
Datentragertransport. an die Servicestelle ubermittelt, 
um dort mit HIKe einer geeigneten Elektronik in das 
betreffende Fahrzeugbauteil eingespeist zu werden. 

Diese Vorgehensweise Ist ohne Schwierigkeit ein- 
setzbar, solange die zu ubertragenden Daten nicht 
gehelm sind. Handelt es sich jedoch um geheime 
Daten. wie sie insbesondere fur Kbmponenten eInes 
Fahrzeug-Diebstahlschutzsystems benOtigt werden, so 
soil es Unberechtigten nicht mOglich sein, in Kenntnis 
dieser Daten zu gelangen. HerkOmmllcherweise bietet 
sich daher die Technikder Codierung, d.h. Verschlusse- 
lung, dieser Daten mit einem symmetrischen oder 
asymmetrischen Codierverfahren an, wie sie in der 
Kryptografie geiaufig sind. Dabei werden die zu ubertra- 
genden Daten in der Zentrale codiert und abgesendet. 
In der jeweiligen Servicestelle werden die gesendeten. 
codlerten Daten empfangen und in einem EndgerSt, 
z.B. einem PC, decodiert und dann mittels eines nach- 
geschatteten Programmlergerdtes In das betreffende 
Fahrzeugbauteil eingespeist. Dieses Verfahren gew^hr- 
leistet, daB die Daten wahrend ihrer Ubertragung auf 
der DatenObertragungsstrecke zwischen Zentrale und 



Servicestelle gegen unbefugte Versuche, Kenntnis von 
diesen Daten zu eriangen. geschOtzt sind. Es besteht 
aber das Problem. daB diese Daten in der Servicestelle 
selbst zwischen dem decodierenden EndgerSt und dem 

5 zu programmierenden Fahrzeugtell offen, d.h. Im deco- 
dierten Zustand, zutage treten. Ein Ausspahen nach 
solchen gehelmen Datenlnformat'onen in diesem 
Datentransferabschnitt kann daher einen Unberechtig- 
ten eventueil in die Lage vensetzen, das Diebstahl- 

10 schutzsystem des Fahrzeugs zu uben/vinden. 
Belspielsweise kann ein AbhOren entsprechender, sich 
auf das DIebstahischutzsystem des Fahrzeugs bezle- 
herxjer Daten wShrend einer Einprogrammierung der- 
selben in einen Ersatzschlussel dazu benutzt werden, 

15 anschlieBend mit diesen abgehOrten Daten unbefugter- 
weise weitere SchlussekJuplikate anzufertigen. 

In der Offenlegungsschrift DE 43 34 859 A1 ist eine 
Einrichtung beschrieben, die sich unter anderem zum 
EInprogrammieren von Daten in elektronische Steuer- 

20 gerdte von Kraftfahrzeugen eignet, insbesondere zur 
ausstattungs-Zfahrzeugspezifischen Programmierung 
der Steuergerdte beim Fahrzeughersteller. Dazu enthdit 
diese Enrichtung ein fahrzeugexternes, mobiles Pro- 
grammiergerat. mit dem die einzuprogrammierenden 

25 Daten Ober eine drahtlose Ubertragungsstrecke zu 
einem kommunlkationsfahlgen Steuergerat im Fahr- 
zeug Obertragen werden kdnnen, das die Daten an das 
anzusprechende SteuergerSt weiterleitet 

In der Offenlegungsschrift DE 41 23 666 A1 ist ein 

30 Sicherheitssystem fur mobile Fahrzeugbauteiie 
beschrieben, das eine zentrale Datenbank beim Her- 
steller, ein jeweiliges Systemsteuerzentrum bei den Ver- 
tragshandlern sowie fahrzeugsettig eine Zentraleinhelt 
und eine oder mehrere, den betelligten Fahrzeugbautei- 

35 len zugeordnete Kbmponentensteuereinheiten umfaBt. 
Ein in der zentralen Datenbank abgelegter Werkscode 
wird herstellerseitig In die beteiligten Fahrzeugbauteiie 
eingegeben und kann wahrend deren Lebensdauer 
nicht gearxlert sowie von den Systemsteuerzentren 

40 nicht ausgelesen werden. Das jeweilige Systemsteuer- 
zentum kann Daten in die fahrzeugseitige Zentralelnheit 
eingeben und von dieser erhattene Informationen mit 
denjenigen vergleichen, die sie von der zentralen 
Datenbank abrufen kann. Die zentrale Datenbank kann 

45 Informationen. die sie von dem jeweiligen Systemsteu- 
erzentrum erhait. wie autorisierende Codednderungen 
in der fahrzeugseitigen Zentralelnheit oder der jeweili- 
gen Komponentensteuereinheit, korellieren und damit 
eine Bestandsfuhrung unterhaiten. Bei Auswechslung 

50 eInes solchermaBen geschutzten Fahrzeugbauteils 
wird dessen individueiler Code von der Datenbank in 
die fahrzeugseitige Zentralelnheit eingegeben. 

Der Erfindung liegt ais technisches Problem die 
Bereitstellung eines Verfahrens und einer Einrichtung 

55 der eingangs genannten Art zugrunde, mit denen das 
Einprogrammieren von Daten in ein Fahrzeugbauteil 
zuveriassig vor unberechtigten Versuchen, In Kenntnis 
dieser Betriebsdaten zu gelangen, geschOtzt Ist. 

Dieses Problem wird durch ein Verfahren mit den 
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Merkmalen des Anspruchs 1 sowie durch eine Einrich- 
tung mit den Merkmalen des Anspruchs 8 Oder 9 gelfist 
Die Gefahr, daB sich ein Unberechtigler die Kenntnis 
uber die von der Zentrale abgesandten. in das jeweils 
2u programmierende' Fahrzeugbauteil einzuspeisende 
Dateninformation verschaffen kann, wird dadurch mini- 
miert, daB die Decodierung der zu ubertragenden 
Daten erst in dem mit diesen Daten zu programmieren- 
den Fahrzeugbauteil erfolgt. Das Verfahren und die Ein- 
richtung kCnnen Insbesondere dazu benutzt werden, 
Ersatzteile durch EInprogrammierung entsprechender 
fahrzeugbezogener Daten fur ein bestimmtes Fahrzeug 
betriebsfahig zu machen. Des weiteren kfinnen sie zur 
Durchfuhrung von Sonderfunktionen in Fahrzeugbautei- 
len benutzt werden, z.B. zum Sperren Oder Freigeben 
elektronischer Schlussel fur ein bestimmtes Fahrzeug. 
Als weiterer Anwendungsfail kann das Vorbereiten 
eines Fahrzeugbauteils fur den anschlieBenden Betrieb 
in einem bestimmten Fahrzeug durch Einprogrammie- 
rung entsprechender Daten auch darin bestehen. den 
anschtieBenden Betrieb des Bautells und damit des 
Fahrzeugs nur in einem begrenzten Umfang freizuge- 
ben, z.B. fur eine begrenzte Anzahl von Motorstarts, 
eine begrenzte Laufleistung, eine begrenzte Zeitdauer 
Oder nur innerhalb eines begrenzten geografischen 
Bereichs. Eine weltere EinsatzmOglichkeit liegl im 
Bereich der Fahrzeug-Vermietung. bei der unterschied- 
liche Fahrzeuge an einem oder mehreren unterschiedii- 
chen Standorten den Systemnutzern zur kurz- oder 
langerfristigen Nutzung zur Verfugung gestellt werden. 
In den beiden letztgenannten Anwendungen kann es 
zweckmSBig sein, DatensStze fur eine bestimmte Fahr- 
zeuggruppe aus einer ubergeordneten Zentrale, die 
sich z.B. beim Fahrzeughersteller befindet. in eine 
untergeordnete, iokale Zentrale auszulagern, die sich 
z.B, bei einer Autovermietstation oder einem Leasing- 
unternehmen befindet. 

In einer Weiterbildung des erfindungsgemSBen 
Verfahrens ist nach Anspruch 2 zur Anforderung der 
Daten bei der Zentrale die kJentitat des Fahrzeugs und 
des zu programmierenden Fahrzeugbauteils sowie des 
anfordernden Systemnutzers zu ubermittein, so daB die 
Zentrale die Berechtigung der Anforderung QberprOfen 
und die richtigen Daten fur das zu programmierende 
Fahrzeugbauteil codieren und absenden kann. Zudem 
ist die Zentrale automatlsch uber die fur ein jeweiliges 
Fahrzeug gerade verwendeten Komponenten infbr- 
miert. Zur Durchfuhrung dieses Verfahrens eignet sich 
insbesondere die Einrichtung gemaB Anspruch 10. 

In einer Weiterbildung des erfindungsgemSBen 
Verfahrens erfolgt nach Anspruch 3 die Einspeisung der 
codierten Daten vom Programmiergerat der jeweiligen 
Servicestelle direkt in ein zu diesem Zweck an das Pro- 
grammiergerat angeschlossenes Fahrzeugbauteil. Zur 
Durchfuhrung dieses Verfahrens eignet sich insbeson- 
dere die Einrichtung gemSB Anspruch 8. 

Eine Weiterbildung des erfindungsgemaBen Ver- 
fahrens nach Anspruch 4 realisiert eine indirekle Ein- 
programmierung der in der Servicestelle empfangenen, 



codierten Daten vom Programmiergerat uber ein Zwi- 
schenspeicherbauteil in das zu programmierende Fahr- 
zeugbauteil. Hierbei werden die Daten in der Zentrale 
doppelt codiert und nach Empfang durch die anfor- 

5 dernde Stelle zunachst vom dortigen Programmiergerat 
in das angeschlossene Zwischenspeicherbauteil einge- 
speist und dort einmai decodiert und zwischengespei- 
chert. AnschlieBend wird das Zwischenspeicherbauteil, 
vorzugsweise unter Abkopplung vom Programmierge- 

10 rat, uber eine entsprechende AnschluBschnittstelle an 
ein fahrzeugseitiges Datenubertragungssystem, z.B. 
ein CAN-System oder ein Diagnoseleitungssystem, 
angekoppelt, wonach die zwischengespeicherten 
Daten uber das fahrzeugseit'ge Datenubertragungssy- 

15 Stem in das zu programmierende Fahrzeugbauteil ein- 
gespeist und dort vollends decodiert werden. Diese 
Vorgehensweise hat den Vorteil. daB fur die verschiede- 
nen, zu prograriimierenden Fahrzeugbauteile nicht 
jeweils spezielle Adapter zum AnschlieBen an das Pro- 

20 grammiergerat benOtigt werden. Dabei kann es sich bei 
dem ZwischenspeichertDauteil seibst ebenfalls urn ein 
Fahrzeugbauteil handein, z.B. einen elektronischen 
SchlQssel, der als SonderschlQssel zur zusatzlichen 
ErfOllung der Zwischenspeicherfunktion ausgelegt ist. 

25 Zur Durchfuhrung dieses Verfahrens eignet sich insbe- 
sondere die Einrichtung gemaB Anspruch 9. 

Ein nach Anspruch 5 weitergebildetes Verfahren 
eignet sich insbesondere fur Fahrzeugvernnietungssy- 
steme. bei denen die MOglichkeit bestehen soil. 

30 bestimmten Kunden bestimmte Fahrzeuge beispiels- 
weise zeitlich oder raumlich nutzungsbegrenzt zur Ver- 
fugung stellen zu kfinnen. Durch feste Zuordnung eines 
SchlQssels fur anen jeweiligen Kunden kann dieser 
gegenuber der vermietenden Zentrale als Identitats- 

35 nachweis venwendet werden. Die Zentrale kann dann in 
kundenspezif ischer Wase Daten in den Schlussel uber- 
tragen, die neben der Nutzungsberechtigung fur das 
gewunschte Fahrzeug auch die jeweilige Mobilitatsbe- 
grenzung beinhalten, wodurch der Kunde das zum 

40 Schlussel gehSrige Fahrzeug beispielsweise nur fOr 
eine vorgegebenen Zeitdauer. eine vorgegebene Ent- 
fernung oder eine vorgegebene Anzahl von Motorstarts 
venwenden kann. Dabei kann sowohl die Ubermittlung 
der Kennzeichnungsnummer an die Zentrale als auch 

45 die Obermittlung der Mobil itatsbegrenzungsinformation 
zuruck zum anfordernden SchlQssel oder Zwischen- 
speicherbauteil codegeschutzt erfolgen. 

Ein nach Anspruch 6 weitergebildetes Verfahren 
bewirkt eine Mobilitatsbegrenzung fur ein Fahrzeug 

50 dadurch, daB der zugehOrige Fahrzeugschlussel von 
der Zentrale mit einem Datensatz programmiert wird. 
der nur eine vorgebbare Anzahl von Nutzungsberechti- 
gungsfreigabeaktionen durch den Schlussel zuiaBt, Mit 
dieser MaBnahme kann eine vorteilhafte Fahrzeugkurz- 

55 zeitvermietung mit geringem Unterschlagungsrisiko 
realisiert werden. Zur Durchfuhrung dieses Verfahrens 
eignet sich besonders eine Einrichtung nach Anspruch 
11, bei welcher die entsprechenden, mobilitatsbegren- 
zenden Fahrberechtigungsdaten von einer Zentrale. 
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z.B. einer Vermietstation, die uber ein Schlusselverwal- 
tungsmodul zur Verwaltung der elektronischen Schlus- 
set aller beteiligten Fahrzeuge verfugt, uber eine 
fahrzeugseitige oder eine ortsfeste, z.B. in einem jewei- 
ligen Haltestellenautomat untergebrachte Schlusselpro- 
grammienjngseinheit in den Schlussel einprogrammiert 
werden. 

Eine weitere Ausgestaltung nach Anspruch 7 sieht 
vor. daB die Anzahl jeweils durchgefuhrter Nutzungsbe- 
rechtigungsfreigabeaktionen fahrzeugsertig erfaBt und 
rechtzeitig vor Erreichen der vorgegebenen Anzahl 
zugelassener Freigabeaktionen eine Anfordemng an 
die Zentrale zur Ubersendung eines weiteren Datensat- 
zes zwecks Einprogrammierung in den Fahrzeug- 
schlussel Qbermittelt wird. urn die Nutzungs- 
berechtigung fOr das Fahrzeug durch den SchlQssel IQk- 
kenlos fur einen weiteren Satz von Freigabeaktionen zu 
ermdglichen. Dabei wird der neue Datensatz von der 
Zentrale nur dann gesendet. wenn ihr bis dahin keine 
diesbezOgliche Sperrmeldung vorliegt. Zur DurchfOh- 
mng dieses Verfahrens eignet sich eine Einrichtung mit 
den Merkmaien des Anspruchs 12. Mit dieser MaB- 
nahme ISBt sich die Gefahr eines Diebstahls des Fahr- 
zeugs gering halten, da ein entwendetes Fahrzeug nur 
noch lur eine begrenzte Anzahl von Fahrzeugstarts 
bzw. Ansteuerungsvorgangen einer mit dem SchlQssel 
angesteuerten TurschlieBanlage venvendbar ist. 

Bevorzugte AusfOhmngsformen der Erfindung sind 
in den Zeichnungen dargesteitt und werden nachfol- 
gend beschrieben. Hierbei zeigen: 

Fig, 1 ein schematisches Blockdiagramm einer 
Einrichtung zur Einprogrammierung von 
fahrzeugbezogenen Daten in ein jeweiliges 
Fahrzeugbauteil mit direkter Dateneinpro- 
- grammierung, - 

Fig. 2 ein schematisches Blockdiagramm einer 
Einrichtung zur Einprogrammierung von 
fahrzeugbezogenen Daten in ein jeweiliges 
Fahrzeugbauteil mit indirektem Einprogranrv 
mierungsvorgang uber ein Zwischenspei- 
cherbauteiL 

Fig. 3 ein schematisches Blockdiagramm eines 
Systems zur Fahrzeugkurzzeitvermietung, 

Fig. 4 ein schematisches Blockdiagramm eines 
Fahrzeugvermietsystems mit Haltestellenau- 
tomaten, 

Fig. 5 ein schematisches Blockdiagramm eines 
unterschlagungsgeschutzten Fahrzeugver- 
mietsystems mit direkter Fahrzeugubergabe 
und 

Fig. 6 ein schematisches Blockdiagramm eines 
fremdnutzungsgeschutzten Fahrzeugsy- 
stems fur Privatnutzung. 



Anhand von Fig. 1 wird nachfolgend ein erstes Ver- 
fahren und die zu dessen Durchfuhrung vorgesehene 
Einrichtung zur Einprogrammierung von fahrzeugbezo- 
genen Daten in ein Fahrzeugbauteil, vorliegend bei- 

5 spielhaft in einen Ersatzschlussel. beschrieben. Die 
verfahrensdurchfuhrende Einrichtung ist in Fig. 1 in 
Blockdiagrammfonm dargesteiH Eine jeweilige Service- 
stelle (1), z.B. eine Werkstatt. steht uber eine Daten- 
ubertragungsstrecke (10), z.B. eine Telefonleitung. mit 

10 einer r^umlich entfernten Zentrale (20). die sich bei- 
spielsweise beim Fahrzeughersteller befindet, in Daten- 
austauschverbindung. In der Servtcestelle (1) soli als 
Fahrzeugbauteil beispielhaft ein ErsatzschlOssel (4) mit 
geheimen kryptografischen Daten versorgt werden. 

15 damit er fur ein ganz bestimmtes Kijndenfahrzeug ein- 
gesetzt werden kann. das Qber ein Diebstahlschutzsy- 
stem verfOgt, bei dem Nutzungsberechtigungsdaten 
mittels eines errtsprechenden kryptografischen Verfah- 
rens codiert. d.h. verschlQsseit, zwischen Schlussel- 

20 seite und Fahrzeugseite ausgetauscht werden. 
Derartige, kryptografisch gesicherte Methoden des 
Datenaustauschs zwischen Schlusselseite und Fahr- 
zeugseite zwecks PrOfung der Fahrzeugnutzungsbe- 
rechtigung sind beispielsweise in den Patentschriften 

25 DE44 11 449 CI. DE 44 11 450 CI und DE 44 11 451 
CI beschrieben. worauf hier verwiesen werden kann. 

Zur Einprogrammierung dieser fahrzeugbezogenen 
Daten. bei denen es sich vorliegend speziell um Daten 
handelt. die fur das Diebstahlschutzsystem des betref- 

30 fenden Fahrzeugs relevant sind, wird zunachst eine ent- 
sprechende Datenanforderung von der Servicestelle (1) 
uber de Telelbnieitung (10) an die Zentrale (20) Qber- 
mittelt. Dazu werden in der Servicestelle (1) die folgen- 
den vier Dateninformationen in ein dort vorhandenes 

35 Endgerdt (2). das Ober einen Bildschirm und eine Tasta- 
tur verfOgt, eingegeben und Qber die Telefonleitung (10) 
an die Zentrale (20) geschickt, wie jeweils durch eine 
separate, gerichtete Ljnie(11 bis 14) symbolisiert. Eine 
erste Dateninformation (11) betrifft die Art der auszu- 

40 fuhrenden Operation, hier die Information uber eine 
Ersatzschlusselprogrammierung. Diese Information 
wird in der Zentrale (20) einen Steuerwerk (23) zuge- 
fOhrt. welche die ubrigen. am Verfahren beteiligten 
Komponenten der Zentrale (20) jeweils in der fQr die 

45 Durchfuhrung der auszufOhrenden Operation geeigne- 
ten Weise ansteuert, wie mit der gestrichetten, gerichte- 
ten Linie (16) symbolisiert Als zweite Dateninformation 

(12) ist eine Kennzeichnungsnummer fOr das l^etref- 
fende Fahrzeug, z.B. eine Fahrzeugidentrfikationsnum- 

50 mer. anzugeben. Analog ist als dritte Dateninformation 

(13) eine Kennzeichnungsnummer fQr den Ersatz- 
schlOssel (4), z.B. eine Seriennummer desselben, mit- 
zuteilen. Diese ist vorliegend in einem elektronischen 
Speicher (5) desselben abgelegt. aus dem sie uber ein 

55 Programmiergerdt (3), an welches der ErsatzschlOssel 
(4) in der Servicestelle (1) wShrerxJ des gesamten Vor- 
gangs angeschlossen ist, in das Endgerat (2) zur Wei- 
terleitung an die Zentrale (20) ausgelesen werden kann. 
Ahernativ ist auch das Anbringen der Kennzeichnungs- 
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nummer auf einem AuMeber des ErsatzschlOssels (4) 
mOglich, von dem sie dann abgelesen und uber die 
Tastatur in das Endgerat (2) eingegeben wird. SchlieB- 
lich hat der das Endgerat bedienende Bearbeiter eine 
Berechtigungs- und kdentitatsnachweisinformation als 5 
vierte Dateninformation (14) an die Zentrale (20) zu 
Qbenmitteln. 

Die drei letztgenannten Dateninformationen (12. 
13, 14) fur eine Anforderung fahrzeugbezogener Daten 
fur den Ersatzschlussel (4) werden einer Prufeinheit 10 
(24) der Zentrale (20) zugefuhrt, welche sie mindestens 
daraufhin pruft. ob die Anforderung von einer berechtig- 
ten Stelle kommt, ob das betreffende Fahrzeug nicht als 
gestohien gemeldet ist, ob der mit den fahrzeugbezoge- 
nen Daten zu programmierende Ersatzschlussel (4) is 
nicht als gestohien gemeldet ist und ob der zu program- 
mierende Ersatzschlussel (4) rechtmafSig an die voiiie- 
gende Servicestelle (1) geliefert worden ist. Wird diese 
Prufung in alien vier Punkten bestanden, so wird zum 
einen die Information (12) Qber die Fahrzeug-Kenn- 20 
zeichnungsnummer an eine Datenbank (21) fur fahr- 
zeugbezogene Daten in der Zentrale (20) 
weitergegeben. In dieser Datenbank (21) ist fur jedes 
vom Hersteller produzierte Fahrzeug ein Datensatz mit 
alien Daten gespeichert, die das Diebstahlschutzsy- 2s 
stem des Fahrzeugs betreffen. Aus dieser Datenbank 

(21) kOnnen die gewunschten, geheimen Daten (18) fur 
den Ersatzschlussel (4) ausgelesen werden. Zum ande- 
ren wird die Information (13) uber die ErsatzschlQssel- 
Kennzeichnungsnummer an eine Ersatzteil-Datenbank 30 

(22) weitergeleitet In dieser Ersatzteil-Datenbank (22) 
Ist fur jedes Fahrzeugbauteil. in das fahrzeugbezogene 
Daten einprogrammlerbar sind, ein individueller, gehei- 
mer Codienwert in einem zugehOrigen Speicher (26) 
abgelegt Kbrrespondierend dazu wird wShrend der as 
Produktion des jeweiligen Ersatzteils, d.h. hier des 
ErsatzschlOssels (4), bei Venwendung eines symmetri- 
schen Codierverfahrens derselbe geheime Codierwert 
bzw. bei Verwendung eines asymmetrischen Codierver- 
fahrens ein zugeordneter geheimer Codienwert im 40 
Ersatzteil (4) abgelegt. 

Die von der Datenbank (21) fur fahrzeugbezogene 
Daten ausgegebenen Daten werden (18) ebenso wie 
der von der Ersatzteil-Datenbank (22) ausgegebene. 
spezielle, nur fur den betreffenden Ersatzschlussel (4) 45 
gOltlge, geheime Codienwert (19) einem Codierer (25) 
zugefuhrt. Dieser Codierer (25) codiert die zu ubermit- 
telnden, fahrzeugbezogenen Daten mit Hilfe des gehei- 
men Ersatzteil-Codierwertes nach einem herkdmm- 
lichen symmetrischen oder asymmetrischen Verschlus- so 
selungsverfahren und ubertrSgt die solchermaBen 
codierten. fahrzeugbezogen Daten (15) Qber die Tele- 
fonverblndung (10) an die Servicestelle (1). Dort gelan- 
gen die codierten, fahrzeugbezogenen Daten (15) vom 
Endgerat (2) uber eine geeignete Schnittstelle in das 55 
Programmiergerat (3), in das der zu programmierende 
Ersatzschlussel (4) eingelegt ist. Im Programmiergerat 
(3) werden jedoch lediglich Datenprotokollanpassungen 
vorgenommen und die Daten gegebenenfalls auf ein 



anderes Medium zur Weiterleitung umgesetzt, also bei- 
spielsweise von elektrischen SIgnalen auf Infrarotsi- 
gnale. 

Auf diese Weise kann der ErsatzschlQssel (4) vor- 
teilhaft uber dieselben Sende-ZEmpfangskanaie pro- 
grammiert werden, uber die er im spateren aktiven 
Betrieb mit den fahrzeugsertigen Einrichtungen, bei- 
spielsweise einem ZQndschloB mit elektronischen 
Funktionen, kommuniziert. Diese Ersatzschlussel- 
ZundschloB-Datenkommunikation umfaBt insbeson- 
dere den fur das Diebstahlschutzsystem erforderiichen 
Datenaustausch zur Prijfung der Berechtigung des 
ErsatzschlOssels fOr das betreffende Fahrzeug. Folglich 
ist nicht unbedingt eine eigenstandige Schnittstelle fOr 
die Einprogrammierung der fahrzeugbezogenen Daten 
in den Ersatzschlussel (4) erforderlich. Zudem kann das 
Programmiergerat (3) in diesem Fall sehr einfach aus- 
gefuhrt sein, indem es lediglich dieseibe Schnittstelle 
aufweisen mu6 wie die im aktiven Betrieb mit dem 
Ersatzschlussel (4) kommunizierende Einheit, also bei- 
spielsweise das ZOndschlofB. Wie bereits angedeutet. 
findet im Programmiergerat (3) selbst keine Decodie- 
rung der codierten. fahrzeugbezogenen Daten statt. 
Vielmehr werden diese Daten erst im Ersatzschlussel 
(4) selbst, vorzugsweise innerhalb eines Microprozes- 
sors desselben, mittels eines Decodierers (6) unter 
Zuhilfenahme des in einem zugehOrigen Speicher (7) 
im Ersatzschlussel (4) abgelegten. geheimen Codier- 
werts decodiert und als decodierte Daten (17) in einem 
Datenspeicher (8) abgelegt. Danach liegen die fahr- 
zeugbezogenen Daten im Ersatzschlussel (4) in nutz- 
barer, uncodierter Form vor. was den Ersatzschlussel 
(4) nunmehr fur das betreffende Fahrzeug voll funkti- 
onsfahig macht. insbesondere auch hinsichtlich seiner 
Funktion innerhalb des Diebstahlschutzsystems des 
Fahrzeugs. 

Ein besonderer Vorteil des beschriebenen Verfah- 
rens zur Eirprogrammierung der fahrzeugbezogenen 
Daten in den ErsatzschlQssel (4) besteht darin, da6 die 
Daten an keiner Stelle auBerhalb der Zentrale (20) 
offen, dh. in decodierter Form, zutage treten. Vielmehr 
sind die fahrzeugbezogenen Daten auf dem gesamten 
Ubermittlungsweg zwischen Zentrale (20) und Ersatz- 
schlQssel (4) mit dem geheimen, individuellen Ersatz- 
teil-Codierwert codiert. Dies schutzt sehr zuveriassig 
vor unberechtigten Versuchen, In Kenntnis dieser fahr- 
zeugbezogenen Daten zur unbefugten Programmie- 
rung anderer Ersatzschlussel zu gelangen. Die 
unbefugte Anfertigung solcher Schlusselduplikate bzw. 
von Duplikaten anderer Fahrzeugbauteiie wird weiter 
dadurch verhindert daB der von der Zentrale (20) abge- 
schickte Satz fahrzeugbezogener Daten aufgrund der 
Verwendung des individuellen Ersatzteil-Codienwertes 
nur fur das eine, in der Anforderung an die Zentrale (20) 
angegebene Fahrzeugbauteil (4) zur erfolgreichen Ein- 
programmierung benutzt werden kann. 

Das obige Verfahren eignet sich problemlos fQr sei- 
che zu programmierenden Fahrzeugbauteiie, die, wie 
der Ersatzschlussel (4), direkt in das Programmiergerat 
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(3) eingelegt Oder an dieses angeschlossen werden 
kOnnen und Ober ihre vorhandenen Schnittstellen mit 
diesem kommunizieren. Da diese Schnittstellen fur die 
verschiedenen programmierbaren Fahrzeugbauteile 
angepaBt an deren jeweilige Bedurfnisse unterschied* 
lich ausgelegt sind, wird bei dieser Vorgehensweise im 
allgemeinen fur jedes Bauteil bzw. Ersatzteil ein spezi- 
eller Adapter fur das Progrannmiergerat benOtigt. 

Bei einer Vorgehensweise, wie sie mit der in Fig. 2 
gezeigten Einrichtung mdglich ist, 1st die Bereitstellung 
einer solchen Mehrzahl spezieller Adapter nicht erfor- 
derlich. Be dieser nachfolgend eriauterten Einrichtung, 
bei der fur funktionell gleiche Eiemente wie fur die Ein- 
richtung von Rg. 1 gleiche Bezugszeichen gewahit 
sind, dient nur eine ausgewahlte Komponente (35) fur 
die direkte Programmierung am Programmiergerat (3). 
so daB das Programmiergerat (3) nur mit einer einzi- 
gen, passenden Schnittstelle fur diese Komponente 
(35) auszustatten ist. Nur diese eine Komponente (35) 
nimmt dann bei diesem Verfahren einer indirekten Fahr- 
zeugbauteilprogrammierung die von der Zentrale (20) 
ubertragenen, codierten, fahrzeugbezogenen Daten 
auf und gibt sie danach in einem davon unabhangigen, 
getrennten Vorgang an ein tatsachlich zu programmle- 
rendes Fahrzeugbauteil (33) weiter. Die zum Anschlie- 
Ben an das Programmiergerat (3) bestimnrrte 
Komponente (35) ist so ausgewahlt, daS sie in einfa- 
cher Weise mit alien gegebenenfalls zu programmieren- 
den Fahrzeugbauteilen in Datenubertragungs- 
verbindung gebracht werden kann. 

Die Komponente (35) kann dabei ein spezielles, im 
Fahrzeug an sich nicht vorkommendes Bauteil sein. das 
so gebaut ist. daB es in jedem Fahrzeug leicht an ein 
vorhandenes Datenbussystem Oder eine Diagnoselei- 
tung angeschlossen werden kann, um die Datenirrfor- 
mation, die^sie .vom Programmiergerat (3) aufge- 
nommen hat, an das eigentlich zu programmierende 
Fahrzeugbauteil (33) abzugeben, das an dieses Bussy- 
stem bzw. an diese Diagnoseleitung angeschlossen ist. 
Alternativ wird bevorzugl fQr diese als Zwischenspei- 
cherbauteil zur Zwischenspeicherung der codierten. 
fahrzeugbezogenen Daten fungierende Komponente 
(35) ein ohnehin fur die Fahrzeuge bestimmtes Bauteil 
gewahlt. Speziell dient im Beispiel der Rg. 2 ein fur das 
Fahrzeug passender elektronischer Ersatzschlussel 
(35) als dieses Zwischenspeicherbauteil. FQr den Pro- 
grammiervorgang ist dann der Fall. daB der als Zwi- 
schenspeicherbauteil fungierende Ersatzschlussel (35) 
selbst programmiert werden soli, von demjenigen, daB 
ein anderes Fahrzeugbauteil programmiert werden soil, 
zu unterscheiden. Im ersten Fall wird genau wie oben 
bezuglich der Einrichtung von Rg. 1 beschrieben vorge- 
gangen. Der Ersatzschlussel (35) ist dabei als das zu 
programmierende Ersatzteil direkt an das Programmier- 
gerat (3) innerhalb der Servicestelle (1) angeschlossen. 
Im anderen Fall der Programmierung eines anderen 
Fahrzeugbauteils (33). welches fur den weiteren Betrieb 
mit dem Fahrzeug geheime kryptografische Daten 
erhalten soil, fungiert der ausgewahlte Ersatzschlussel 



(35) lediglich als Zwischenspeicherbauteil, d.h. als 
Datentrdger, wobei ihm die fahrzeugbezogenen Daten 
vom Programmiergerat (3) zugefuhrt werden und es 
diese in einem nachfolgenden Vorgang an das eigenl- 
5 lich zu programmierende Fahrzeugbauteil (33). das sich 
in dem betreffenden Fahrzeug (30) befindet, abgibt. 
Aufgrund dieser Zusatzfunktion wird der ausgewawte 
Ersatzschlussel (35) nachfolgend als Sonderschlussel 
bezeichnet 

10 Anhand von Rg. 2 wird nachfolgend die Vorgehens- 
weise fur diese indirekte Programmierung eines Ersatz- 
tells (33) des Diebstahlschutzsystems in dem 
betreffenden Fahrzeug (30) unter Venwendung des Son- 
derschlussets (35) naher eriautert. Der Sonderschlus- 

15 sel (35) ist vorzugsweise baugleich mit dem 
Ersatzschlussel (4) gemaB Fig. 1 . Als Informationen fur 
eine Anforderung fahrzeugbezogener Daten werden 
der Zentrale (20) uber die Telefonverbindung (10) wie- 
derum eine Information uber die Art der auszufuhren- 

20 den Operation (11), hier z.B. Ober eine Ersatz- 
teilprogrammierung. eine Information (12) Ober die 
Fahrzeug-Kennzeichnungsnummer, eine Information 
(13") uber die Kennzeichnungsnummer, z.B. die Serien- 
nummer, des zu programmierenden Ersatzteils (33), die 

25 vorzugsweise durch Abiesen von einem am Ersatzteil 
(33) angebrachten Aufkleber (42) und Eingeben in das 
Endgerat (2) an der Servicestelle (1) dem System 
bekannt gemacht wird, eine Information (14) als 
Berechtigungs- und Identitatsnachweis des Bearbei- 

30 ters, z.B. in Form eines PaBwortes Oder einer Nutzer- 
identitatsnummer, sowie zusatzlich eine Information 
(13*) Ober die Kennzeichnungsnummer. z.B. die Serien- 
nummer, des Sonderschlussels (35) Qbermittelt Die 
letztgenannte Information (13') wind vorliegend elektro- 

35 nisch aus dem diesbezuglichen Sonderschlusselspel- 
^cher (5) ausgelesen. Alternativ kann auch hier das 
Abiesen von einem aufgebrachten Aufkleber und Einge- 
ben in das Endgerat (2) vorgesehen sein. 

Die erstgenannte Information (11) wird wiederum 

40 dem Steuenverk (23) der Zentrale (20) zugefuhrt, das 
die ubrigen beteiligten Komponenten in der Zentrale 
(20) geeignet ansteuert. wie gestrichelt (16) symboli- 
siert. Die vier letztgenannten Informationen (12, 13'. 
13", 14) werden der Prufeinheit (24) zur Oberprufung 

45 der Berechtigung der Datenanfbrderung zugefuhrt. Bei 
erfolgreicher Prufung leitet die Prufeinheit (24) die Fahr- 
zeug-Kennzeichnungsnummer (12) der Datenbank (21) 
mit den fahrzeugbezogenen Daten und die Kennzeich- 
nungsnummer (13") des zu programmierenden Ersatz- 

50 tells (33) sowie diejenige (13*) des SonderschlQssels 
(35) an eine gegenuber der Einrichtung von Rg. 1 nrodi- 
fizierte Ersatzteil -Datenbank (22') weiter, die neben 
dem Speicher (26) fur fahrzeugbauteilindividuelle. 
geheime CodienA^erte eine zusatzliche Speicherstelle 

55 (27) fur einen zwischenspeicherbauteilindividuellen 
Codienrt^ert, d.h. hier einen SonderschlQssel-Codierwert 
beinhaltet. Je nach Verwendung eines synnmetrischen 
Oder asymmetrischen Codierverlahrens sind jeweils die 
gleichen oder zugeordnete Codierwerte in einem 
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Codierwertspeicher (37) des zu programmierenden 
Ersatzteils (33) bzw. im Codierwertspeicher (7) des 
Sonderschlussels (35) durch Einspeicherung wahrend 
der Produktion des Ersatzteils (33) bzw. des Sonder- 
schlussels (35) abgelegt. 5 

Die Datenbank (21) fur die fahrzeugbezogenen, 
geheimen Daten liefert letztere (18) fur das zu program- 
mierende Ersatzteil (33) und fuhrt sie dem Codierer (25) 
zu. Letzterem sind auBerdem der betreffende ersatzteil- 
individuelle Codierwert (1 9) und der sonderschlussetin- io 
divtduelle Codierwert (28) aus der Ersatzteil-Datenbank 
(22') zugefOhrt. Der Codierer (25) codiert zunachst die 
fahrzeugspezifischen Daten (18) unter Zuhilfenahme 
des nur fOr das zu programmierende Ersatzteil (33) gul- 
tigen, geheimen, ersatzteilindividuellen Codierwertes 75 
(19). Danach werden diese einmal codierten Daten 
erneut vom Codierer (25) nunmehr unter Zuhilfenahme 
des nur fur den ausgew^lten SonderschlOssel (35) gul- 
tigen, geheimen. sonderschlusselindividuellen Codier- 
wertes codiert und dann als doppelt codierte Daten 20 
(^S) uber die Teleforwerbindung (10) an die Service- 
stelle (1) ubertragen. Dort gelangen die Daten (15*) 
zundchst uber das Programnruergerdt (3) in den Son- 
derschlOssel (35), der in das Programmiergerat (3) ein- 
gelegt ist. Anhand des ubertragenen Dateninhalts 25 
erkennt der SonderschlOssel (35). daB er nicht als 
ErsatzschlOssel programmiert werden sol), sondern 
lediglich als Zwischenspeicherbauteil bzw. Datentrans- 
portmedium zu dem im Fahrzeug (30) eingebauten 
Ersatzteil (33) dienen soil. 30 

Die doppelt codierten, fahrzeugbezogenen Daten 
(15*) werden daraufhin im Decodierer (6) innerhalb des 
SonderschlOsseis (5) mit Hilfe des geheimen Sonder- 
schlussel-Codierwertes einmal decodiert und danach 
als noch einfach mit dem geheimen, ersatzteilindividu- 35 
ellen Codierwert codierte, fahrzeugbezogene Daten im 
Speicher (8) zwischengespeichert. Da diese Daten 
noch Immer codiert sind, bleiben sie weiterhin vor unbe- 
fugten Versuchen der Kenntnisnahme geschotzt 
Anschlie3end wird der SonderschlOssel (35) zum Fahr- 40 
zeug (30) gebracht und in ein SchlOsset-Schnittstellen- 
gerat (32) desselben eingesteckt. Dieses SchlOssel- 
Schnittstellengerdt (32) kann beispielsweise ein elektro- 
nischer Zundstartschalter des Fahrzeugs (30) sein, 
uber den im Normalbetrieb die diebstahlschutzrele- 45 
vante Datenkommunikation zwischen SchlOssel und 
Fahrzeug ablSuft. 

Ein wirksamer Diebstahlschutz wird besonders 
dadurch erreicht, daB mdglichst viele betriebsretevante 
Fahrzeugkomponenten so in die Diebstahlabsicherung so 
einbezogen sind, daB die vom SchlOssel abgegebenen, 
codierten Authentikationsdaten in jeder der Komponen- 
ten decodiert und verifiziert werden und sich bei erfolg- 
reicher Authentikation jede Komponente selbst ihre 
Betriebsfreigabe erteilt. Alle diese Komponenten, die ss 
geheime kryptografische Daten zum Zweck des Dieb- 
stahlschutzes enthalten. sind daher an ein Kommunika- 
tionsnetz, vorzugsweise ein Datenbussystem, anges- 
chlossen. In Fig. 2 ist hierfOr beispielhaft ein Datenbus- 



system (36) gezeigt, an das neben dem SchlOssel- 
Schnittsteliengerdt (32) und das beispielhaft zu pro- 
grammierende Ersatzteil (33) weitere, mit diebstahl- 
schutzrelevanten Daten programmierbare Fahrzeug- 
bautelle (38, 39) angeschlossen sind. Aus dem in das 
Schnittsteilengerdt (32) eingesteckten SonderschlOssel 
(35) gelangen nun die noch einfach codierten Daten 
uber dieses Fahrzeug-Datenbussystem (36) in die 
betreffende Ziel komponente. hier das zuvor angege- 
bene Ersatzteil (33). Erst in diesem jeweiligen Ersatzteil 
(33) werden die noch einfach codierten Daten. vorzugs- 
weise innerhalb eines Ersatzteil-Microprozessors, in 
einem Decodierer (40) mit Hilfe des im Codierwertspei- 
cher (37) des Ersatzteils (33) abgeiegten. geheimen 
Codierwertes decodiert, wodurch das Ersatzteil (33) 
innerhalb des Diebstahlschutzsystems des Fahrzeugs 
(30) funktionsfShig wird. Die uncodierten, fahrzeugbe- 
zogenen Daten werden vom Decodierer (40) in einem 
Datenspeicher (41 ) im Ersatzteil (33) abgelegt. 

Auch bei diesem erfindungsgemdBen Beispiel 
einer indireklen Programmierung eines Ersatzeils (33) 
mit den erforderlichen, fahrzeugbezogenen Daten liegt 
ein wesentlidier Vorteil darin. daB diese Daten an kei- 
ner Stelle auf dem Dbertragungsweg zwischen Zentrale 
(20) und Ersatzteil (33) uncodiert zutage treten. Da 
auBerdem an das Programmiergerat (3) immer ein 
gleichartiges Bauteil, im spezietlen Fall ein Sonder- 
schlOssel (35), angeschlossen wird, genOgtfOrdas Pro- 
grammiergerat (3) eine einzige Schnittstelle, ohne daB 
verschiedene Schnittstellenadapter erforderlich sind. 
Als weiterer Vorteil kann ein ohnehin vorhandenes 
Ersatzteil. vorliegend ein ErsatzschlOssel (35) mit 
zusStzlicher Zwischenspeicherfunktion. zum Daten- 
transport vom Programmiergerat (3) zum Fahrzeug (30) 
benutzt werden. 

Die anhand der Fig. 1 und 2 beschriebene Obertra- 
gung fahrzeugbezogener Daten von der Zentrale in ein 
Fahrzeugbauteil kann nicht nur dazu benutzt werden. 
wie beschrieben diebstahlschutzreievante Dateninfor- 
mationen in das Ersatzteil einzubringen, sondern auch 
um Sonderfunktionen in Fahrzeugbauteilen auszufOh- 
ren, wie sie nachfolgend baspielhaft fOr die Einrichtung 
von Fig. 2 eriautert werden. 

Eine solche Sonderfunktion betrifft beispielsweise 
das Sperren Oder Entspen'en von FahrzeugschlOsseln. 
In einem sicheren Fahrzeugschutzsystem soilten die zu 
einem Fahrzeug gehOrigen SchlOssel datenmaBig- 
unterscheidbar sein. d.h. jeder SchlOssel tragt neben 
einer fahrzeugspezifischen Nummer auch eine eigene, 
schlusseispezifische SchlOsselnummer und beinhaltet 
einen speziellen. geheimen. kryptografischen Codier- 
wert. der die Codierung der Authentikationsdaten 
bewlrkt. In jeder einzelnen diebstaNschutzrelevanten 
Fahrzeugkomponente (32. 33, 38, 39) ist nun im Bei- 
spiel von Rg. 2 ein Register (43) untergebracht. das 
anzeigt welche SchlOssel gespen-t sind. Da die Ande- 
rung dieser Daten sicherhettskritisch ist. sind MaBnah- 
men gegen diesbezOgliche Manipulationen getroffen. 
Um ein sicheres Vorgehen zu gewShrleisten. ist dafOr 
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gesorgt, daB solche OatenSnderungsbefehle nur uber 
die Zentrale (20) abgewickelt werden kdnnen. Dazu 
wird wiederum ein herkOmmliches kyptografisches Ver- 
fahren angewendet, mit dem ein von der Zentrale (20) 
abgegebener Befehf, beispieisweise zur Sperrung eines 5 
bestimmten Schlussels fur ein bestimmtes Fahrzeug. 
unverfdlscht zu den beteiligten Fahrzeugkomponenten 
(32. 33. 38, 39) ubertragen wird. Hierfur geeignete. die 
Authentizitat der Nachricht sicherstellende Verschlus- 
seiungsverfahren.sind in den oben genannten Patent- 70 
schriften DE 44 11 449 Cl, DE 44 11 450 C1 undDE44 
1 1 451 CI beschrieben. Die Ubertragungdeser krypto- 
logisch gesicherten Befehle kann nun nnit der Einrich- 
tung gemSB Fig. 2 vorteilhaft von der Zentrale (20) uber 
die Datenubertragungsstrecke in den SonderschiQssel 75 
(35) und von dort in eine oder mehrere der beteiligten 
Fahrzeugkomponenten (32. 33, 38. 39) erfolgen. 
Selbstverstdndlich k6nnen auf dese Weise auBer den 
Befehlen zur Sperrung oder Entsperrung von SchlOs- 
seln auch andere Befehle gesichert von der Zentrale 20 
(20) zum Fahrzeug (30) ubertragen und dort ausgefuhrt 
werden. 

Eine weitere VenA/endungsmOglichkeit der Einrich- 
tung von Fig. 2 betrifft ZustandsabfragemOglichkeiten 
uber die Zentrale (20). Dieser Anwendung llegt die Tat- 25 
sache zugrurxie, daB alle relevanten Befehle von der 
Zentrale (20) ausgehen. d.h. eine jeweilige Service- 
stelle (1) ist nurdann in der Lage. einen ErsatzschtOssel 
zu programnrueren. ein diebstahlschutzrelevantes 
Ersatzteil zu programnnieren oder einen SchlOssel zu so 
spenren oder zu entsperren. wenn jeweils dementspre- 
chende Daten bei der Zentrale (20) angefordert wurden. 
Die Zentrale (20) ist daher uber den Status der Dieb- 
stahlschutzanlage jedes Fahrzeugs (30) votlstdndig 
informiert. Bei Bedarf kann auch vorgesehen sein. da6 35 
die Zentrale (20) eine Quittierung bestimmter Operatio- 
nen, wie das Sperren von Schlussein, fordert. was 
durch Ubertragung codierter Daten vom Fahrzeug (30) 
zur Zentrale (20) unter Umkehrung der beschriebenen 
Ubertragungsrichtung fOr die fahrzeugbezogenen 4o 
Daten erfolgen kann, und zwar wiederum unter Einsatz 
herkfimmlicher kryptologischer Verfahren. z.B. symme- 
trischer Codierverfahren. AIs Transportmedium zwi- 
schen den fahrzeugsertigen Kbmponenten (32. 33. 38. 
39) und dem EndgerSt (2) in der Servicestelle (1) wird 45 
wiederum der Sonderschlussel (35) eingesetzt. Das 
Ubertragen derQuittierungsnachricht aus dem Sonder- 
schlussel (35) an die Zentrale (20) kann dabei entweder 
nach dem Einbau eines jeweiligen Ersatzteils (33. 38, 
39) durch nochmaliges Einlegen des Sonderschlussels so 
(35) in das Programmiergerat (3) oder dadurch erfol- 
gen, daB die Quittierungsnachricht aus dem Sonder- 
schlussel (35) automatisch vor Durchfuhrung einer 
ndchsten Sonderfunktion ausgelesen wird. Da somit. 
wie gesagt die Zentrale (20) stets uber den aktuellen. ss 
diebstahlschutzrelevanten Zustand aller Fahrzeuge 
informiert ist. kann sie jederzeit daruber Auskunft 
geben, welche SchlOssel fur ein bestimmtes Fahrzeug 
derzeit gultig sind. Dies macht es beispieisweise Fahr- 



zeugversicherern mfiglich. entsprechende Informatio- 
nen nach einem Fahrzeugdiebstahl abzufragen. um 
beurteilen zu kOnnen. ob tatsdchlich alle gOltigen 
SchlOssel seitens des Versicherungsnehmers vorgelegt 
werden konnten. 

Die in den Rg. 1 und 2 dargestellten Einrichtungen 
und mit diesen durchfuhrbaren Verfahren zur codierten 
Datenubertragung von einer Zentrale (20) auf einen 
SchlOssel (4) Oder mittels eines als Zwischenspeicher- 
bauteit fungierenden Ersatzschlussels (35) auf fahr- 
zeugseitige Komponenten (33) kOnnen so beschaffen 
sein. daB eine codierte Datenubertragung In bekJen 
Richtungen mdglich ist. Damit kdnnen bei Bedarf auch 
geheimzuhaltende Daten aus einem SchlOssel (4) oder 
unter Verwendung eines als Zwischenspeicherbauteil 
fungierenden ErsatzschlOssels (35) aus einer der betei- 
ligten Fahrzeugkomponenten (32, 33. 38, 39) codiert 
und somit gesichert an die Zentrale (20) zurOckObertra- 
gen werden. Diese Mdglichkeit kann. wie schon 
erwShnt. z.B. zur Ruckmeldung eines Quittiersignals 
verwendet werden. MOglich ist damit aber auch die 
Ubertragung sonstiger geheimer oder nicht geheimer 
Daten vom SchlOssel (4) oder von Fahrzeugkomponen- 
ten (32. 33. 38. 39) zur Zentrale (20), v/ie z.B. den aktu- 
ellen Zustand des Diebstahischutzsystems oder der 
aktuellen Laufstrecke (km-Stand). 

Eine weitere AnwendungsmOglichkeit des erfin- 
dungsgemdBen Verfahrens und der erfindungsgemS- 
Ben Einrichtung besteht im Bereich der Fahrzeug- 
Vermietung mit der Anforderung, bestimmten Kunden 
fur bestimmte Fahrzeuge eine begrenzte Nutzungsbe- 
rechtgung einrdumen zu kOnnen. Dabei kann die 
Eigenschaft, daB der SchlOssel (4 bzw. 35) eine Kenn- 
zeichnungsnummer (13, 137 beinhaltet und diese als 
Identitdtsnachweis an die Zentrale (20) abgibt. als Iden- 
titatsnachweis fOr den Kunden verwendet werden, 
indem man jedem Kunden einen SchlOssel fest zuord- 
net. Diesem Kunden kdnnen dann mittels der in Fig. 1 
und 2 gezeigten Einrichtungen und mit der beschriebe- 
nen Vorgehensweise auf gesichertem Weg Nutzungs- 
berechtigungsdaten fOr jeweils ein bestimmtes, vom 
Kunden gewOnschtes Fahrzeug von der Zentrale (20) in 
seinen SchlOssel (4) Obertragen werden. Dabei kann es 
sich um Nutzungsberechtigungsdaten handein, die dem 
Kunden nur eine begrenzte Mobilitat mit dem 
gewOnschten Fahrzeug einrdumen. Diese MobilitStsbe- 
grenzung kann beispieisweise dadurch reallsiert wer- 
den, daB die von der Zentrale (20) ubertragenen 
Nutzungsberechtigungsdaten so gew3Nt sind, daB der 
SchlOssel (4) nur fOr eine bestimmte Anzahl von Betati- 
gungen, z.B. Motorstarts. das Diebstahlschutzsystem 
des Fahrzeugs entriegeln bzw. freischalten kann. Des 
weiteren ist es denkbar, die in Fig. 1 und 2 gezeigten 
fahrzeugseitigen Einrichtungen auf herkOmmliche Art 
so zu erweitern. daB dannit z.B. eine zertliche. eine geo- 
grafische oder eine entfernungsmdBige Begrenzung 
der Mobilitdt mOglich ist. Die hierzu erbrderlichen, indi- 
viduell von der Zentrale (20) vorgebbaren Grenzwerte 
werden .ebenfalts mit der zu Fig. 2 beschriebenen Vor- 
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gehensweise auf gesichertem Weg in den Schlussel 
(35) und bei dessen erster Betatigung im Fahrzeug (30) 
aul die fahrzeugseitigen Komponenten (32. 33. 38. 39) 
ubertragen. 

Bei der letztgenannten Anwendung erfolgen 
zwangsiaufig sehr hSufig Datenkommunikationen mit 
der Zentraie (20). Bel Bedarf kann foiglich vorgesehen 
warden, Datensatze fur bestimnrrte Fahrzeuggruppen 
aus der elgentlichen Zentraie (20), die sich vorteilhafler- 
welse belm Fahrzeughersteller befindet. in eine lokale 
Zentraie auszulagern. die sich bei einer Autovermietsta- 
tion Oder einem Leasingunternehmen befindet. Daten- 
satze fur Fahrzeuge, die von diesen Stellen zu einem 
spateren Zeitpunktweiterverkauft warden, kOnnen dann 
wieder in die eigentliche Zentraie (20) zurtickverlagert 
werdea 

In den Fig. 3 bis 6 sind verschiedene Systeme 
beschrieben. bei denen eine Mobilitatsbegrenzung fur 
ein Fahrzeug dadurch vorgesehen ist, daB die Daten- 
sStze, die von einer jeweiligen Zentraie In einen Fahr- 
zeugschlussel entsprechend einer der oben besch- 
riebenen Vorgehensweisen hoch manipulationsge- 
schutzt einprogrammiert warden, nur jeweils eine 
begrenzte, vorgebbare Anzahl von Nutzungsberechti- 
gungsfreigabeaktionen durch den Fahrzeugschiussel, 
d.h. Betatigungen zur Bedienung einer Zentraivemege- 
lungsanlage und/oder einer elektronischen Wegfahr- 
sperreinrichtung, zulassen. Dazu wird desen Systemen 
ein Nutzungsberechtigungsfreigabeverfahren zugrun- 
degelegt, bei welchem eine jeweilige Nutzungsberechti- 
gung durch einen Nutzungsberechtigungscode 
freigegeben wird, wobei fur jede Freigabeaktion ein 
neuer Code verwendet wird, der einerseits im betreffen- 
den Fahrzeugschiussel und synchron dazu im ange- 
steuerten Fahrzeugsteuergerat zu hinterlegen oder zu 
generieren ist. Die Mobllitatsbegrenzung wird nun 
dadurch realisiert, da3 die Zentraie als Teti der in den 
jeweiligen Fahrzeugschiussel einzuprogrammierenden 
Daten nur eine vorgegebene Anzahl aufeinanderfolgen- 
der Nutzungsberechtigungscodes bzw. eine Information 
zur Berechnung nur dieser begrenzten Anzahl von Nut- 
zungsberechtigungscodes ubermitlelt. Damit ist das 
Fahrzeug mit diesem Schlussel nur begrenzt, z.B. fur 
eine bestimmte Nutzungsdauer, belreibbar. sofern 
keine Auffrischung des Schlussels mit einem neuen 
Satz von Nutzungsberechtigungscodes erfolgt Auf der 
Grundlage dieser Eigenschaften lassen sich die nach- 
folgend beschriabenen Fahrzeugsysteme realisieren. 
wie Fahrzeugvermietsysteme mit hohem Unterschla- 
gungsschutz oder Prrvatfahrzeuge mit hohem FrenxJ- 
nutzungsschutz. 

Fig. 3 zeigt ein vorteilhaftes System zur Fahrzeug- 
kurzzeitvermietung. Bei diesem System schlieBt der 
Kunde in einem einmaligen Verwaltungsvorgang einen 
Nutzungvertrag mit dem Varmieter und erhait eine per- 
sdnllche Kundennummer und einen elektronischen 
Fahrzeugschiussel (50) ausgahandigt. Zu einem 
gewunschten Zeitpunkt kann dann der Kunde uber eine 
Telefonverbindung (51) bei einer Dispositionszentrale 



(52) des Vermieters ein Mietfahrzeug anfordern. das 
sich zum gewunschten Zeitpunkt an ainam gewunsch- 
ten Ort in seiner unmittelbaren Nahe befindet. Ein Dis- 
positionsrechner (52a) ubermittelt dann die Fahrz- 

5 eugkennung und eine gewunschte Anzahl von Nut- 
zungsberechtigungscodes an ein angeschlossenes 
Schlusselvenwaitungsmodul (52b). in welchem die Nut- 
zungsberechtigungscodes der Fahrzeugllotte des Auto- 
vermieters hinterlegt sind. Das Schlusselver- 

10 waltungsmodul (52b) ist als zugangssichere Einhert. 
z.B. als Krypto-Box in Form einer Rechner-Steckkarta 
bzw. eines PCMCIA-Moduls. ausgefuhrt und enthait 
direkt die Nutzungsberechtigungscodes oder einen 
Berechnungsalgorithmus hierfur fur aile elektronischen 

IS Schlussel jedes der i=ahrzeuge der Vermietflotte. Es 
reserviert nun aus dieser Codemenge die gewunschte, 
begrenzte Anzahl von Nutzungsberechtigungscodes fur 
die betreffende Kundenanforderung und ubergibt diese 
dem Dispositionsrechner (52a). Dieser ubermitlelt 

20 rechtzeitig vor dem fur die FahrzeugObernahme geplan- 
ten Zeitpunkt die Kundennummer und die begrenzte 
Anzahl der Nutzungsberechtigungscodes sowie gege- 
benenfalls weitere Auftragsdaten, wie z.B. die Reservie- 
rungsdauer, an ein nachrustbares Telematikmodul (53). 

2S Die Datenuberlragung erfolgt auf eine der zu den Fig. 1 
und 2 oben beschriebenen Weisen manipulationsge- 
schutzt Ober eine zugehOrige. drahtlose Datenubertra- 
gungsstrecke (54). Das Telematikmodul (53) fungiert 
dabei als Servicestelle mit Programmiergerat im Sinne 

30 der Einrichtung der Fig. 1 und 2, wobei es weitere. in 
Fig. 3 gezeigte Funktionalitaten umfaBt, auf die hier 
nicht naher eingegangen zu werden braucht. 

Der Kunde sucht dann im vereinbarten Zeitraum 
den ihm bekannten Fahrzeugort auf und bringt seinen 

35 bislang noch nicht fahrberechtigenden Schlussel (50) 
an eine mit dem Telematiknrxxiul (53) verbundene 
Schnittstelle (55) zur Ubertragung von Daten zwischen- 
dem Schlussel (50) und dem Telematikmodul (53) Ober 
eine drahtlose Obertragungsstecka (56), z.B. eine Infra- 

40 rot-, Funk- oder Induktiv-Obertragungsstrecke. Die 
Schnittstelle (55) kann beispielsweise eine an einem 
zugehOrigen Fenster angeordnete Infrarot-Schnittstelle 
sein. Der Fahrzeugschiussel (50) identif iziert sich wah- 
rend dieser DatenObertragung durch Obergabe der 

45 Kundennummer gegenOber dem Telematikmodul (53) 
und wird dann von diesem in dessen Funktion als- 
SchlOsselprogrammiarainheit mit dem von der Zentraie 
(52) empfangenen Datensatz geladen. Zeitgleich kann 
es Ober einen Drucker (53a) ein Mietvertragsexemplar 

so mit Kundendaten, Angaben zur Nutzungsdauer^ und 
Fahrzeugdaten ausgeben. Der Kunde kann anschlie- 
Bend fur die Zeit der Nutzung den Fahrzeugschiussel 
(50) in ubiicher Weise verwenden. Zum Starten des 
Fahrzeugmotors beinhaltet der Schlussel (50) einen 

55 mechanischen Schlusselteil (50a), der in ein Gruppen- 
zundschloB (57) eingesteckt werdan kann, uber das alle 
Fahrzeuge der Vermietflotte verfOgen, 

Um der Zentraie (52) das Ende einer Fahrzeugnut- 
zung bekanntzugeben, bringt der Kunde nach Ruckkehr 
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zu einer Haltestelle und nach Abschlie6en des Fahr- 
zeugs seinen Schlussel (50) wiederum an die Schnitt- 
slelle (55). Dies wird vom Telematikmodul (53) erkannt. 
das daraufhin den ersten nicht benutzten Nulzungsbe- 
rechtigungscode aus dem SchlOssel (50) liest und der 
Dispositionszentrale (52) zwecks Speicherung Qbennit- 
teit. Dieser Codewert kann dann als erster Codewert fur 
einen nachfolgenden Kunden verwendet warden. Des 
weiteren wird zur Entwertung des benutzten SchlOssels 
(50) ein LOschsignal an diesen ubermittelt. Nach PrQ- 
fung des CkxJespeicherzustands Im Schlussel (50) wird 
dem Kunden durch eine optische Anzeige am Telema- 
tikmodul (53) der ordnungsgemd3e Abschtu3 des Ver- 
mietvorgangs zwecks Rechnungsstellung und Anschl- 
ulkJisposition signaiisiert. Der Kundenschlussel (50) ist 
jetzt sowohl fur das zuletzt genutzte als auch fur alle 
Qbrigen Fahrzeuge unbrauchbar. 

Wenn der Schlussel vor AbschluS eines Vermiet- 
vorgangs verloren geht. Ist die Zentrale (52) in der Lage. 
durch Vergabe einer neuen Nutzungsberechtigungs- 
code-StOtzstelle an einen Schlussel ihres Wartungs- 
dienstes das Fahrzeug abzuholen und den verlorenen 
Schlussel unbrauchbar zu machen. Falls das Fahrzeug 
uber ein Ortungssystem verfugt. wie einen in Rg. 3 
gestrichelt angedeuteten GPS-Empfanger im dortigen 
Telematikmodul (53), so kOnnen die Fahrzeugpositions- 
daten jeweils von diesem Ortungssystem an die Zen- 
trale (52) ObermrtteK werden. Dies IdBt sich zur 
Realisierung eines offenen Vermietbetriebes venwen- 
den, bei dem es nicht notwendig ist, das genutzte Fahr- 
zeug an einer Haltestelle abzugeben. Vielmehr kann 
das Fahrzeug an einem beliebigen Ort stehengelassen 
und von dort weitervermietet Oder an einen anderen Ort 
uberfuhrt werden, Durch die FernObertragung der 
begrenzten Fahrberechtigung sind die Autovermietfilia- 
len vOllig unabhSngig von Personal und bestehen z.B. 
nur noch aus einer Haltestelle oder einem Abstellplatz. 
wahrend die Ubergabe der Fahrberechtigung ebenso 
wie die Fahrzeugdisposition und die Abrechnung mit 
dem Kunden von einer einzigen Vermietzentrale (52) 
vorgenommen werden kann. 

In Fig. 4 ist ein demjenigen von Fig. 3 verwandtes 
Vermietsystem dargestellt. wobel fOr funktionell gleiche 
Komponenten dieselben Bezugszeichen verwendet 
sind und insowett auf die Beschreibung von Rg. 3 ver- 
wiesen werden kann. Im Unterschied zum System von 
Fig. 3 beinhaltet das Vermietsystem von Rg. 4 ortsfest 
aufgestellte Haltestellenautomaten (58) mit Schlussel- 
programmiereinheiten (58a), die hinsichtlich der 
Schlusselprogrammierung die Funktion des beim 
System nach Rg. 3 fahrzeugseitig untergebrachten 
Telematikmoduls (53) ausuben. Unter anderem beinhal- 
tet die Schlusseiprogrammiereinheit (58a) des jeweili- 
gen Haltestellenautomaten (58) eine Schnittstelle (58b) 
zur drahtlosen, manipulationsgeschutzten Kommunika- 
tion mit dem jeweiligen Fahrzeugschlussel (50) sowie 
eine Sende- und Empfangseinheit (58c) zur drahtlosen, 
manipulationsgeschOtzten Kommunikation mit der Ver- 
mietzentrale (52). Der Kunde Iddt folglich bei diesem 



System seinen Fahrzeugschlussel (50) jeweils an dem- 
jenigen Haltestellenautomat (58) mit der gewOnschten 
Anzahl von Nutzungsberechtigungsccdes. der sich an 
der Haltestelle befindet, an der er das Fahrzeug in 

5 Gebrauch nimmt, wozu dem Haltestellenautomat (58) 
die entsprechenden Daten zuvor von der Vermietzen- 
trale (52) auf telefonische Mietanforderung durch den 
Kunden hin Obermittelt werden. Im Qbrigen ergeben 
sich fur dieses Vermietsystem die zum System von Rg. 

70 3 genannten Eigenschaften und Vorteile. 

In Fig. 5 ist ein Fahrzeugvermietsystem gezeigt. bei 
dem der Fahrzeugvermieter in herkOmmlicher Weise 
ein Fahrzeug samt SchlOssel an einer Mietstation (60) 
dem Kunden ubergibt. Er uberreicht dem Kunden 
IS jedoch nicht wie ubiich einen Schlussel mit unbegrenz- 
ter Nutzungsberechtigung fOr das Fahrzeug. sondern, 
entsprechend der Systeme der Fig. 3 und 4. einen Fahr- 
zeugschlOssel (61) mit begrenzter Nutzungsberechti- 
gung. Dazu verfOgt die Mietstation uber eine 
20 Schlusseiprogrammiereinheit in Forni eines Schreib- 
A.esegerdtes (61). das an einen Rechner (62) mit zuge- 
ordnetem Schlusselverwaltungsnrrodul (63) angeschlos- 
sen ist. In Abh^ngigkeit von der geplanten 
Fahrzeugnutzungsdauer wird mit dem Schreib-ZLesege- 
25 rat (61) eine begrenzte Anzahl von Nutzungsberechti- 
gungscodes. wie zu den Systemen der Rg. 3 und 4 
beschrieben, auf einen noch nicht fahrberechtigerxien 
Fahrzeugschlussel (61) geschrieben, d.h. in diesen 
codegeschOtzt gemdB der Vorgehensweise der Fig. 1 
30 und 2 uber eine zugehOrige Datenubertragungsstrecke 
(64) einprogramn^ert. Dieser SchlOssel (61) wird dann 
dem Kunden zur begrenzten Fahrzeugnutzung zusam- 
men mit dem Fahrzeug ausgehdndigt. Ist die begrenzte 
Anzahl von Nutzungsberechtigungscodes aufge- 
35 braucht, so ist der Schlussel (61) wertlos, d.h. es kann 
mit ihm weder die Zentralverriegelung, noch die Weg- 
fahrsperre des Fahrzeugs betatigt werden. Da dies den 
Mietkunden bekannt ist, ist zu erwarten, da6 diese von 
jeglichem Unterschlagungsversuch absehen. 
40 Rg. 6 zeigt ein fOr Privatfahrzeuge geeignetes 
System mit hohem Diebstahlschutz dadurch, daB der 
Oder die fOr das Fahrzeug verwendbaren Fahrzeug- 
schlussel (65) entsprechend den zuvor beschriebenen 
Systemen nur mit einer begrenzten Anzahl von Nut- 
45 zungsberechtigungscodes geladen werden. Eine zuge- 
hOrige Zentrale (66), die sich z.B. beim 
Fahrzeughersteiler bef inden kann und Qber einen Rech- 
ner (66a) mit angeschlossenem Schlusselvenwaltungs- 
modul (66b) verfugt, vergibt fOr jedes betreute Fahrzeug 
50 bedarfsorientiert eine begrenzte Anzahl von aufeinan- 
derfblgenden Nutzungsberechtigungscodes, die draht- 
los, z.B. uber eine QSM-Datenfernubertragungsstrecke 
(67), an ein fahrzeugseitiges, nachrustbares Telematik- 
modul (68) ahnlich demjenigen (53) in Rg. 3 ubertragen 
55 werden. Das unter anderem als Schlusseiprogrammier- 
einheit fungierende Telematikmodul (68) iSdt cfie zuge- 
hdrigen Daten uber ein Fahrzeugdatenbussystem (69) 
und ein SdilieBanlagen-Sternergerdt (70) in den pro- 
grammierbaren elektronischen Fahrzeugschlussel (65). 
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Das SchiieBanlagen-Steuergerdt (70) ist in diesem Bei- 
spiel so ausgelegt. daB es die vom jeweltigen Schlussel 
(65) zwecks Nutzungsberechtigungsfreigabe des Fahr- 
zeugs ausgeldsten Freigabeaktionen, d.h. die Anzahl 
der vom Schlussel (65) abgesendeten Nutzungsbe- 5 
rechtigungscodes, z^tt und bei Uberschreiten einer 
festlegbaren Schwelle ein Signal an das Telematikmo- 
dul (68) sendet, durch welches letzteres veranlaBt wird. 
bei der Zentrale (66) einen weiteren, nachfolgenden 
Satz von Nutzungsberechtigungscodes anzufordern. 10 
DIeser Vorgang ertolgt automatisiert und jeweils recht- 
zeitig vor dem vollstSndigen Verbrauch der momentan 
im Schlussel (65) einprogrammierten Nutzungsberech- 
tigrnngscodes. ohne daB der Kunde davon Notiz nimnnl 

Uegt der Zentrale (66) eine Meldung Ober einen 15 
unberechtigten Gebrauch des zugehOrigen Fahrzeugs 
vor, so sendet es den angeforderten Datensatz nicht 
mehr ab, was die Folge hat. da3 nach Verbrauch der 
dann noch im Schlussel (65) vorhandenen Nutzungsbe- 
rechtigungscodes die elektronische Wegfahrspeae 20 
nicht mehr betatigt insbesondere nicht mehr entsperrt 
werden kann. Dieselbe Wirkung tritt ein, wenn unbe- 
rechtigerweise am Fahrzeug und dessen Komnrrunikati- 
onseinrichtungen so manlpufiert wird, daB keine 
ordnungsgemSBe Verbindung zwischen Fahrzeug und 2S 
Zentrale (66) mehr zustande kommt, so daB dann auch 
keine Nutzungsberechtigungscodes mehr ubermittelt 
werden kOnnen. Nur wenn keine derartigen Sperrmel- 
dungen vorliegen, gibt die Zentrale (66) einen weiteren 
Satz von Nutzungsberechtigungscodes verschlusselt 30 
an das Telematikmodui (68) ab. das diese Daten an das 
SchlieBanlagen-Steuergerdt (70) weitergibt. welches 
sie uber seine infrarot- oder Induktivschnittstelle auf 
den Schlussel (65) ubertragt, in welchem sie dann ent- 
schlusselt und hinterlegt werden. um weitere Nutzungs- 35 
berechtigungsfreigabeaktionen , zu ermOglichen. In 
einer Variante erfolgt das Zahlen der verbrauchten Nut- 
zungsberechtigungscodes und das Ubermittein eines 
entsprechenden Signals zur Ubermittiung eines weite- 
ren Satzen von Nutzungsberechtigungscodes durch 40 
den entsprechend ausgelegten Fahrzeugschlussel 
selbst und nicht durch das SchlieBanlagen-SteuergerSt 
Es Ist zu erwarten, daB nach Bekanntwerden derartiger 
Privatfahrzeugsysteme mit begrenzter Schlusselnut- 
zungsdauer die Gefahr von Versuchen. das Fahrzeug 45 
samt Schlussel unberechtigtenveise zu entwenden, 
deutlich sinkL 

PatentansprQche 

50 

1 . Verfahren zur Einprogrammierung von Daten in ein 
jeweiliges Fahrzeugbauteil (4. 33), insbesondere 
ein Fahrzeugersatzteil. bei dem 

die Daten (18) bei einer Zentrale (20) anzufor- ss 
dern sind, welche die Daten an die anfor- 
dernde Stelle (1 ) absendet. 

dadurch gekennzeichnet, da3 



die Daten (18) von der Zentrale (20) wenig- 
stens mit einem individuellen, fahrzeugbauteil- 
bezogenen Code codiert abgesendet werden 
und 

die Decodierung der von der anfordernden 
Stelle empfangenen, mit dem fahrzeugbauteil- 
bezogenen Code codierten Daten (15) erst im 
Fahrzeugbauteil (4. 33) selbst erfolgt. 

2. Verfahren nach Anspruch 1 , waiter 
dadurch gjekennzeichnet, daB 

zur Anforderung der Daten bei der Zentrale 
(20) wenigstens Informationen uber de Identi- 
tat des Fahrzeugs. uber die Identitat des zu 
programmierenden Fahrzeugbauteils und uber 
die Identitat des anfordernden Systemnutzers 
an die Zentrale zu ubermittein sind und 
die Anforderungsinformationen von der Zen- 
trale vor dem Codieren und Absenden der 
angeforderten Daten auf Berechtigung geprijft 
werden. 

3. Verfahren nach Anspmch 1 oder 2. weiter 
dadurch gekennzeichnet, daO 

die von der Zentrale (20) abgesendeten. codierten 
Daten (15) von einem bei der artfordernden Stelle 
(1) vorhandenen Programmiergerat (3) in das 
hierzu an das Programmiergerat angeschlossene, 
zu programmierende Fahr^seugbauteil (4) einge- 
speist werden. 

4. Verfahren nach Anspruch 1 oder 2, weiter 
dadurch gekennzeichnet, daB 

die mit dem fahrzeugbauteilbezogenen Code 
codierten Daten vor dem Absenden von der 
Zentrale (20) zusatzlich mit einem zwischen- 
speicherbauteilbezogenen Code codiert wer- 
den. 

die doppelt codierten Daten (15) nach Emp- 
fang durch die anfordernde Stelle (1) zunachst 
von einem bei dieser vorhandenen Program- 
miergerat (3) in ein an dieses angeschlossenes 
Zwischenspeichert5auteil (35) eingespeist und 
in letzterem bezuglich des zwischenspeicher- 
bauteilbezogenen Codes decodiert und als 
noch mit dem fahrzeugbauteilbezogenen Code 
codierte Daten zwischengespelchert werden, 
und 

die noch mit dem fahrzeugbauteilbezogenen 
Code codierten Daten nach AnschluB des Zwi- 
schenspeicherbauteils an ein fahrzeugseitiges 
Datenubertragungssystem (32. 36). an wel- 
ches das 2u programmierende Fahrzeugbau- 
teil (33) angeschlossen ist, aus dem 
Zwischenspeichert>auteil ausgelesen und Ober 
das fahrzeugseitige Datenubertragungssystem 
in das zu programmierende Fahrzeugbauteil 
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eingespeist und dort vollends decodiert wer- 
den. 

5. Verfahren nach einem der Anspruche 2 bis 4, weiter 
dadurch gekennzeichnet, daB s 

die zur Anforderung der einzuprogrammieren- 
den Daten (18) an die Zentrale (20) zu ubermit- 9. 
telnden Anforderungsdaten eine Kennnummer- 
Information (13, ^3') eines anfordernden Fahr- io 
zeugschlussels (4) oder Zwischenspeicher- 
bauteils (35) beinhalten. und 
- die von der Zentrale (20) abgesendeten Daten 
(18) eine Mobilitdtsbegrenzungsinformation 
zur ledlglich beschrdnkten Nutzungsberechti- is 
gungsfreigabe enthalten. 

6. Verfahren nach Anspruch 5. welter 
dadurch gekennzeichnet, da8 

die von der Zentrale (52) auf eine jeweltigen Anfor- 20 
derung hin abgesendeten, in etnen Fahrzeug- 
schlussel (50) einzuprogrammierenden Daten nur 
eine vorgebbare Anzahl von Nutzungsberechti- 
gungsfrelgabeaktionen durch den Fahrzeugschlus- 
sel zulassen. 25 

7. Verfahren nach Anspruch 6, weiter 
dadurch gekennzeichnet, daB 
fahrzeugseitig die Anzahl stattgefundener Nutz- 
ungsberechtigungsfreigabeaktionen erfaBt und vor 30 
Erreichen der Anzahl der von den im Fahrzeug- 
schlOssel (65) einprogrammierten Daten zugelas- 
senen Nutzungsberechtigungsfreigabeaktionen 
eine Anforderungsirtformation zur Zentrale (66) 
gesendet wird, die daraufhin nur bei NIchtvorliegen 35 
einer Sperrmeldung erneut Daten zur Einprogram- 
mierung in den Fahrzeugschlussel ubermittelt, wei- 
che eine vorgebbare Anzahl weiter er Nutzun- 
gsberechtigungsfreigabeaktionen zulassen. 

40 

8. Einrichtung zur Einprogramnoierung von Daten in 
ein jeweiliges Fahrzeugbauteil (4), insbesondere 
ein Fahrzeugersatzteil, 

gekennzeichnet durch 

folgende Elemente zur DurchfOhrung des Verfah- 45 
rens nach einem der Anspruche 1 bis 7: 

eine Zentrale (20) mit Speichern (21, 22) fur 
fahrzeugbezogene Daten (18) und fur fahr- 1 
zeugbauteilbezogene Codedaten (19) sowie so 
mit einem Codierer (25) zur Codierung der in 
ein jeweiliges Fahrzeugbauteil (4) einzupro- 
grammierenden Daten (1 8), 
eine oder mehrere Servicestellen (1), die uber 
eine Datenubertragungsstrecke (10) mit der ss 
Zentrale in Verbindung stehen und jeweils ein 
Programmiergerdt (3) beinhalten, an welches 
das zu programmierende Fahrzeugbauteil (4) 
zur Einspeisung der empfangenen Daten (15) 



anschlleGbar ist, wobei 

das mit den Daten zu programmierende Fahr- 
zeugbauteil (4) einen Decodierer (6) zur Deco- 
dierung der eingespeisten, mit dem fahrzeug- 
bauteilbezogenen Code codierten Daten 
beinhaltet. 

Einrichtung zur Einprogrammierung von Daten in 
ein jeweiliges Fahrzeugbauteil, insbesondere ein 
Fahrzeugersatzteil , 
gekennzeichnet durch 

folgende Elemente zur DurchfOhrung des Verfah- 
rens nach einem der Anspruche der 1 bis 7: 

eine Zentrale (20) mit Speichern (21 , 22*) fOr 
fahrzeugbezogene Daten (18). fOr zwischen- 
speicherbauteilbezogene Codedaten (28) und 
fOr fahrzeugbauteilbezogene Codedaten (19) 
sowie mit einem Codierer (25) zur sukzessiven 
Codierung der in ein jeweiliges Fahrzeugbau- 
teil (33) einzuprogrammierenden Daten (18) 
zuerst mit dem jeweiligen fahrzeugbauteilbezo- 
genen Code und dann mit dem zwischenspei- 
cherbauteilbezogenen Code und 
eine oder mehrere Servicestellen (1). die Ober 
eine DatenObertragungsstrecke (10) mit der 
Zentrale in Verbindung stehen urxJ ein Pro- 
grammiergerdt (3) beinhalten, an welches ein 
Zwischenspelcherbauteil (35) zur ZufOhrung 
der empfangenen Daten (15*) anschlief3bar ist. 
wobei 

das Zwischenspeicherbauteil (35) einen Deco- 
dierer (6) zur Decodierung der zugefuhrten, 
doppelt codierten Daten hinsichtlich des zwi- 
schenspeicherbauteilbezogenen Codes auf- 
weist . und die dann noch mit dem 
fahrzeugl^auteibezogenen Code codierten 
Daten zwischenspeichert und nach AnschluB 
an ein fahrzeugseitiges DatenObertragungssy- 
stem (36), an welches das mit den Daten zu 
programmierende Fahrzeugbauteil (33) ange- 
schlossen ist, in letzteres einspeist und wobei 
das mit den Daten zu programmierende Fahr- 
zeugbauteil einen Decodierer (40) zur Deco- 
dierung der eingespeisten, mit dem 
fahrzeugbauteilbezogenen Code codierten 
Daten beinhaltet 

. Einrichtung nach Anspruch 8 oder 9, weiter 
dadurch gekennzeichnet, daB 
die Zentrale (20) eine Anforderungsberechtigungs- 
PrOfeinheit (24) beinhaltet. welche die zur Anforde- 
rung von fahrzeugbezogenen Daten (18) fOr das 
jeweilige Fahrzeugbauteil (4) von einer Service- 
stelle (1) der Zentrale anzugebenden Informationen 
(12. 13, 14) hinsichtlich des betreffenden Fahr- 
zeugs, des jeweiligen Fahrzeugbauteils sowie des 
Systemnutzers auf Berechtigung prOft. 
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11. Einrichtung nach einem der AnsprOche 8 bis 10. 
weiter 

dadurch gekennzeichnet, daB 
die Zentrale einen Rechner mit angeschlossenem 
Schtusselverwaltungsmodul zur Abspeicherung $ 
und Ubermittlung von jeweils einer begrenzten 
Anzahl aufeinanderfolgender Nutzungsberechti- 
gungscodes zwecks Einprogrammierung in einen 
FahrzeugschlQssel umfaBt. wc3bei als Servicestelle 
eine Schlusselprogrammiereinheit (53, 58a, 61) io 
dient die sich im Fahrzeug, in einem jeweiiigen 
Haltestellenautomat (58) Oder In der Zentrale bef in- 
det 

1 2. Einrichtung nach Anspruch 1 1 . weiter is 
dadurch gekennzeichnet, daB 

vom Schlussel selbst oder einer tahrzeugsertigen 
Einhert (70) die Anzahl der von einem jeweiiigen 
FahrzeugschlOssel (65) ausgetOsten Nutzungsbe- 
rechtigungsfreigabeaktionen erfaBt urxi vor Errei- 20 
chen der zuvor in den SchlQssel einprogrammierten 
Anzahl von aufeinanderfolgend zu senderxden Nut- 
zungsberechtigungscodes ein Anforderungssignal 
an die Zentrale (66) zur Obermittlung eines weite- 
ren Satzes aufeinandeiiblgender Nutzungsberech- 2s 
tigungscodes zwecks Einprogrammierung in den 
SchlQssel gesendet wird, wobei die Zentrale (66) 
einen entsprechenden Clbermittlungsvorgang an 
das Nichtvorliegen einer zugehOrigen Spen'mel- 
dung koppelt 30 
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